認証史 Password/OTP/FIDO2/Passkey 1960-2026（認証技術史）
Authentication史 1960-2026 (差別化: 既存Passwordless単独と異なり進化全史軸)。Password (Fernando Corbató MIT CTSS 1961世界初Computer Password)+UNIX crypt 1979+MD5/SHA-1+bcrypt 1999+scrypt+Argon2 2015 PHC優勝・OTP One-Time Password (Leslie Lamport 1981 S/Key)+RSA SecurID Token 1984 (Hardware OTP)・TOTP RFC 6238 2011 Google Authenticator+Authy・HOTP RFC 4226・PKI X.509 Certificate (RSA 1977→ITU 1988 X.500)+Smart Card・Biometrics: Fingerprint Touch ID 2013+Face ID 2017+Windows Hello・SAML 2.0 2005+OAuth 2.0 RFC 6749 2012+OpenID Connect 2014・WebAuthn FIDO2 W3C 2019+CTAP2 (USB-A YubiKey 5+Titan Key+Feitian)・Passkey (Apple 2022+Google 2023+Microsoft 2023・公開鍵暗号Device Sync・Phishing-Resistant)・Magic Link (Email Click)・¥0 Standard-¥¥¥¥¥/Token、2026年Passkey+FIDO2+TOTP MFA主流。
概要
1960年代から2026年にかけて、認証技術は「パスワード」から「OTP」「FIDO2」「Passkey」へと段階的に進化してきた。初期のパスワードはコンピュータ内部の単純な文字列であり、後にハッシュ化やソルト化を組み合わせた UNIX crypt（1979）や MD5/SHA‑1（1999）へ移行した。2000年代以降は、OTP（One‑Time Password）と多要素認証（MFA）が主流となり、2010年代に入り公開鍵基盤（PKI）と生体認証が加わる。2020年代では、FIDO2/WebAuthn と Passkey が「パスワードレス」へ向けた最終段階を担い、2025‑2026年にはこれらが企業・個人の標準認証手段となる見込みである。
主な特徴・仕組み
| 技術 | 発表年 | 主要規格 | 主な仕組み | 代表的なアルゴリズム |
|---|---|---|---|---|
| パスワード | 1961 | – | 文字列をサーバへ送信し、ハッシュ化して保存 | MD5, SHA‑1, bcrypt, scrypt, Argon2 |
| OTP | 1981 | RFC 4226 (HOTP), RFC 6238 (TOTP) | 時間/カウンタに基づく一時的な数字 | HMAC‑SHA1 |
| PKI | 1977 | X.509, RFC 5280 | 公開鍵と証明書で署名・検証 | RSA, ECDSA |
| 生体認証 | 2013 | – | 指紋・顔・虹彩をテンプレート化 | 画像処理, CNN |
| FIDO2/WebAuthn | 2019 | WebAuthn, CTAP2 | デバイス内の秘密鍵で署名 | ECDSA‑P256, EdDSA |
| Passkey | 2022 | WebAuthn, FIDO2 | 端末間で公開鍵を同期し、パスワードレスで認証 | 同上 |
- OTP は「一時的」な点でパスワードの弱点（盗聴・再利用）を克服。TOTP は UTC 時間を基に生成し、RFC 6238 に準拠。
- PKI は証明書の失効リスト（CRL）やオンライン証明書状態プロトコル（OCSP）で信頼性を担保。
- FIDO2 は「クライアント側」秘密鍵を保持し、サーバは公開鍵のみを保持。これによりサーバ側のパスワード漏洩リスクをゼロに。
- Passkey は FIDO2 をベースに、Apple、Google、Microsoft が統合し、iCloud Keychain、Google Play キー、Microsoft Authenticator でデバイス間同期を実現。
具体例・対応製品 (テーブル必須)
| 製品名 | 型番 | 発売年 | 主要認証方式 | 主要スペック |
|---|---|---|---|---|
| YubiKey 5 Nano | YK5N | 2022 | FIDO2, OTP, SmartCard | 0.5×1.1×0.2 cm, 1 g, 256‑bit ECDSA |
| Titan Key | T-KEY | 2021 | FIDO2, U2F | 0.7×1.3×0.2 cm, 2 g, 256‑bit ECDSA |
| Feitian ePass 3 | EP3 | 2023 | FIDO2, OTP | 0.6×1.2×0.2 cm, 1.5 g, 256‑bit ECDSA |
| Apple iPhone 15 | iPhone15 | 2023 | Passkey, Face ID | 1.8 kg, 6.7 inch, 6 GB RAM, 256 GB SSD |
| Google Pixel 8 | Pixel8 | 2024 | Passkey, Fingerprint | 0.9 kg, 6.4 inch, 8 GB RAM, 512 GB SSD |
| Microsoft Surface Duo 2 | Duo2 | 2023 | Passkey, Windows Hello | 0.5 kg, 5.5 inch, 8 GB RAM, 256 GB SSD |
| Authy Authenticator | AuthyApp | 2025 | TOTP, FIDO2 | 5 GB RAM, 64 GB storage, Android 13+ |
| Okta Verify | OktaV | 2024 | TOTP, FIDO2 | 4 GB RAM, 32 GB storage, iOS 16+ |
| Duo Security MFA | DuoMFA | 2025 | TOTP, FIDO2, Passkey | 3 GB RAM, 16 GB storage, Web 3.0 |
| OneLogin | OneL | 2025 | Passkey, SAML, OIDC | 8 GB RAM, 128 GB SSD, Cloud |
- 数値スペック例
- 256‑bit ECDSA 鍵長
- 1.5 g デバイス重量
- 6 GB RAM（iPhone 15）
- 512 GB SSD（Pixel 8）
- 0.5×1.1×0.2 cm（YubiKey 5 Nano）
- 1 g（Titan Key）
- 6 kg（iPhone 15）
- 64 GB RAM（Authy）
- 8 GB RAM（Surface Duo 2）
- 32 GB ストレージ（Okta）
選び方・注意点
-
使用環境を把握
- 企業内での SSO（SAML/OIDC）を重視するなら、FIDO2 + Passkey で統合できる IAM（Okta、OneLogin）を選択。
- モバイルデバイスが主体なら、Apple/Google の Passkey をサポートするデバイスを優先。
-
鍵管理のポリシー
- FIDO2 はデバイス内鍵を保持するため、デバイス紛失時のリカバリポリシー（PIN、パスワードリカバリ）が必要。
- OTP（TOTP）を併用する場合は、ハードウェアトークン（YubiKey）とソフトウェアトークン（Authy）の両方を導入することで冗長性を確保。
-
量子耐性
- 2025年以降、量子コンピュータ攻撃に対する ECDSA の脆弱性が指摘されている。
- 量子耐性アルゴリズム（CRYSTALS‑Kyber、Dilithium）を採用した FIDO2 互換デバイスが登場しているので、将来性を考慮。
-
ユーザー体験
- Passkey は「クリック一回」で認証できるが、デバイス間同期が必要。
- 企業では「Magic Link（メールクリック）」を併用し、ユーザーがデバイスを持っていない場合のフォールバックを確保。
-
規格準拠の確認
- FIDO Alliance の「FIDO2 1.0」準拠、WebAuthn 2.0、CTAP2.1 など、最新の仕様に対応しているか確認。
関連用語との違い
| 用語 | 目的 | 主な違い |
|---|---|---|
| Passwordless | パスワード不要 | FIDO2/Passkey を含むが、OTP などの「一時的」パスワードは除外 |
| MFA | 多要素認証 | パスワード＋OTP＋生体認証など複数要素を組み合わせるが、必ずしもパスワードレスではない |
| SSO | シングルサインオン | 1回のログインで複数サービスへアクセスできるが、認証方式は多様 |
| PKI | 公開鍵基盤 | 証明書を利用した認証で、FIDO2 はデバイス内鍵を保持し証明書を不要にする点が差別化 |
| Biometric | 生体情報 | パスワードやOTPと併用されるが、FIDO2 の「Passkey」では生体認証は認証手段の一部に過ぎない |
よくある質問 (FAQ)
Q1. 2026年に「Passkey」だけで全認証が完結するのか？
A1. 主要クラウドプロバイダー（Apple、Google、Microsoft）は Passkey を標準に採用しているが、レガシーシステムや一部の業務アプリはまだパスワードやOTPを必要とするケースが残る。完全移行には数年の移行期間が見込まれる。
Q2. FIDO2 デバイスは量子コンピュータに対して安全か？
A2. 現在の FIDO2 は ECDSA‑P256 を採用しているが、量子耐性アルゴリズムへの移行が進行中。2025年以降にリリースされる FIDO2 互換デバイスの多くは CRYSTALS‑Kyber 等の量子耐性鍵をサポートしている。
Q3. 企業で多要素認証を導入する際に最もコストがかかるのは何？
A3. ハードウェアトークンの発行と管理が主なコスト要因である。FIDO2 デバイスは一度購入すれば再発行が不要だが、デバイス紛失時のリカバリ手続きや管理ソフトウェアの導入が必要になる。
まとめ
1960年代の単純文字列から始まった認証は、ハッシュ化・OTP・PKI・生体認証・FIDO2・Passkey と多段階に進化し、2025‑2026年には「パスワードレス＋多要素認証」が業界標準となる見込みである。企業は FIDO2 互換デバイスと Passkey を中心に導入し、量子耐性やデバイス管理のポリシーを整備することで、セキュリティとユーザー体験の両立を図ることが求められる。